SSRF is een aanval waarbij iemand jouw server misleidt om zelf een verzoek te doen naar een plek waar de aanvaller niet bij kan. Zo komt hij bij onderdelen die alleen van binnenuit bereikbaar horen te zijn. Het probleem zit in de software, dus de maker moet het dichten met een update.
Wat is SSRF?
Het verzoek komt van jouw server en niet van de aanvaller, dus het heeft de plek van je server in het netwerk en soms ook zijn vertrouwen.
Veel functies laten een server iets ophalen van een adres: een afbeelding importeren via een link, een voorbeeld van een URL tonen, een webhook controleren of een feed laden. Komt het adres van de bezoeker en controleert de code het niet, dan kan de bezoeker de server ergens anders heen sturen. Dat kan een andere site zijn, een dienst op dezelfde machine of een systeem in je hostingnetwerk dat voor internet verborgen is.
Wat de aanvaller krijgt, hangt af van wat er achter de server zit. Een bekend doelwit bij cloudhosting is het interne adres waar een machine informatie over zichzelf kan lezen. Interne beheerpanelen en databases die verzoeken uit hetzelfde netwerk vertrouwen, zijn een ander.
Waarom het lastig te zien is
Een SSRF-fout ziet er niet uit als een aanval op je site. De zichtbare pagina kan gewoon werken. Het probleem zit in wat de server achter de schermen doet, en dat zie je in serverlogs en niet op de pagina. Daarom lost meestal de maker het op met een update, en niet de site-eigenaar met alleen instellingen.
Wat het betekent voor een PHP- of WordPress-site
PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. kan adressen op meerdere manieren ophalen, onder andere met zijn cURL-ondersteuning (zie cURLcURL is een hulpmiddel waarmee software, zoals PHP, gegevens ophaalt van of verstuurt naar andere websites en diensten.), en WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. en plugins gebruiken die functies voor imports, embeds, updates en externe afbeeldingen. Een pluginEen WordPress-plugin is een uitbreiding die je aan je WordPress-site toevoegt voor een extra functie, zoals een formulier of een webshop. die een URL van een bezoeker aanneemt en zonder controle ophaalt, is een kandidaat voor dit soort kwetsbaarheidEen kwetsbaarheid is een zwakke plek in software waar een aanvaller misbruik van kan maken, zoals een deur die niet goed op slot gaat..
Hoe meer functies externe inhoud ophalen, hoe groter het aanvalsoppervlakHet aanvalsoppervlak is het geheel van plekken waar een aanvaller kan proberen je website binnen te komen, zoals logins, formulieren en plugins.. Een eenvoudige visitekaartjessite met een paar pagina’s en een contactformulier haalt bijna niets op, terwijl een site vol importtools, voorbeelden en koppelingen veel ophaalt. Jij bepaalt welke daarvan de moeite waard zijn.
Een concreet voorbeeld
Stel je een plugin voor die een voorbeeldkaart toont als je een link in een formulier plakt. De bezoeker typt een adres, de server haalt het op en toont de titel. Controleert de code het adres niet, dan kan de bezoeker het adres van een interne dienst intypen, en de plugin toont gewillig wat die teruggeeft. Echte oplossingen toetsen het adres aan een lijst met toegestane plekken, blokkeren interne adresbereiken en houden ophaalfuncties buiten bereik van bezoekers die niet zijn ingelogd.
Wanneer je handelt
Update plugins en PHP zodra de maker een beveiligingsfix publiceert, en lees de aantekeningen: noemt een changelog SSRF of “request forgery”, dan is dat een reden om binnen dagen te updaten. Verwijder plugins die je niet gebruikt, en bevraag de plugins die externe inhoud ophalen voor functies die jij nooit aanraakt. Wil je een site waarbij er bij het bekijken van een pagina geen PHP of database draait, kijk dan naar onze aanpak voor een website zonder PHP.
Vermoed je dat zo’n fout is gebruikt, bijvoorbeeld door vreemd uitgaand verkeer of onbekende bestanden, of staat je website offline, vraag dan om onze hulp.
Veelgestelde vragen
Waar staat SSRF voor?
Server-side request forgery. De aanvaller vervalst een verzoek dat jouw server verstuurt, in plaats van een verzoek dat uit de eigen browser van de aanvaller komt.
Waarom is SSRF gevaarlijk?
Omdat je server vaak in een netwerk staat dat buitenstaanders niet kunnen bereiken. Kan een aanvaller sturen waarheen de server verzoeken stuurt, dan kan hij interne systemen vragen stellen die nooit voor internet bedoeld waren.
Is SSRF hetzelfde als cross-site scripting?
Nee. Cross-site scriptingCross-site scripting (XSS) is een aanval waarbij iemand een schadelijk script op jouw pagina zet dat meedraait in de browser van je bezoekers. laat een script draaien in de browser van een bezoeker. Bij SSRF wordt de server zelf misbruikt om uitgaande verzoeken te doen.
Hoe verklein ik het SSRF-risico op een WordPress-site?
Houd core, plugins en PHP bij, verwijder plugins die zonder goede reden adressen ophalen, en vraag je host te beperken welke interne adressen de server mag benaderen.